「公式サイト上のSendmailソースにトロイの木馬」記事へのコメント

これってオープンソースの危機じゃねぇの？

[babie (6656)]

この間のOpenSSHといい、 オープンソース陣営として かなり冷や汗ものの事態ではなかろうか。 　＃オープンソースであるか否かに関わらないんだけど 　＃世間はそう見るよね。 　＃これを肴にオープンソース叩きをされたら 　＃かなり効くと思うんだが・・・ 自サーバもってる他のオープンソースプロジェクト

Re:これってオープンソースの危機じゃねぇの？

[babie (6656)]

誤爆しました。
以下再送。

この間のOpenSSHといい、
オープンソース陣営としてかなり冷や汗ものの事態ではなかろうか。

　＃オープンソースであるか否かに関わらないんだけど
　＃世間はそう見るよね。
　＃これを肴にオープンソース叩きをされたら
　＃かなり効くと思うんだが・・・

自サーバもってる他のオープンソースプロジェクトで
セキュリティ

Re:これってオープンソースの危機じゃねぇの？

[Technical Type (3408)]

> ＃これを肴にオープンソース叩きをされたら
> ＃かなり効くと思うんだが・・・

いえ、MX 落としてはいけない物リスト [tripod.co.jp] を見せれば「クローズドソースは昔から遥かに危険だった」と一撃で反論できるでしょう。

まあ、 PGP も MD5 のチェックもしないでインストールすれば、本質的に改竄されていても判らないという当たり前の事の認識がまだ甘い所が

MD5 でいいんなら、

[moniom (5125)]

FreeBSD で ports からインストールすれば今回のはセーフと言うか、安全性が高いと見て良いのでしょうか？
# 自動で MD5 やってくれますから。

フリビユーザーはそれでも昔から、それが完全な安全を保障する方法だと考えていた訳では無いですが、少なくとも Linux でのソース DL、 展開、コンパイルという手順に安全面で違和感を覚えていて、今回のような事が起きそうな予感を持っていたのも事実です。
Linux でも

Re:MD5 でいいんなら、

[isi (4853)]

タレコミ者です。今回は公式サイトがクラックされたもようです。
つまり、ソースコード本体だけでなく、PGP署名やMD5チェックサムも同時にすり替えられている危険があります。 セキュリティメモ [ryukoku.ac.jp]によると、www.cert.org上のadvisory には [e-mail] の fingerprintがあり、sendmail.org 配布の PGP 公開鍵 とクロスチェックできるとのことです。

FreeBSD で ports からインストールすれば今回のはセーフと言うか、安全性が高いと見て良いのでしょうか？
# 自動で MD5 やってくれますから。

　私はportsシステムについて無知なので判断できません。しかし「自動で」というところに一抹の懸念を感じます。無知ゆえの杞憂であれば申し訳ありません。

Re:MD5 でいいんなら、

[Technical Type (3408)]

FreeBSD の ports も、公式サイトがクラックされて署名やmd5もすり替えられれば駄目です。単に、md5 をチェックしてからインストールするので、セーフになる場合もある、というだけです。(例えば、 ports は、標準ではインストールされないプログラムの、 FreeBSD に対するパッチや Makefile や md5 が載っているので、FreeBSD をインストールした状態で「sendmail はソースも参照したいので、ソースを取ってきて ports でインストールするか」といった場合なら md5 のチェックで改竄が判るが、 sendmail がバージョンアップすると ports も改訂されるので、それも一緒に改竄されてしまえばわからない)

> しかし「自動で」というところに一抹の懸念を感じます。

ports は make した時にソースが無ければ自動で ftp で取りに行って、 md5 のチェックをして、合わなければエラーで終わって、md5 が合えばパッチをあててコンパイル、という流れになります。ですから ports が正しければ改竄ファイルは見つけられるが、 ports も改竄された物をつかまされてそれで置き換えてしまっていればアウトです。

ここの [ryukoku.ac.jp]「その情報って本物? あるいは、なぜ未だにこうなのか」でまとめられている情報は参考になります。